• 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

报告Telegram普通机器人小部件错误……卡巴斯基发出恶意软件警告

2026-11-15 09:33:31
收藏

Telegram Bot API 10.4 Widget功能争议与安全说明

近日,有开发者向Telegram Bot API仓库提交报告,指出普通机器人(General Bots)无法发送HTML小部件(Widgets)。Telegram Bot API仓库的贡献者在私信中回复称,目前普通机器人在私聊中也无法使用小部件功能。

故障报告详情

根据仓库中的报告,开发者指出自11月14日凌晨0点50分(韩国时间,即UTC时间11月13日下午3点50分)起,消息发送开始失败。开发者解释称,在出现错误之前,他曾在同一聊天室中成功发送了约120个小部件。然而,随后的发送请求均被拒绝,并返回了“INPUT_MEDIA_WIDGET_NOT_ALLOWED”错误代码。

尽管仓库贡献者确认了当前普通机器人无法使用小部件的事实,但并未提供具体的限制原因或解除限制的时间表。

官方文档与实际行为的差异

Telegram于11月9日发布的Bot API 10.4版本中新增了sendWidget功能以支持小部件发送。然而,Bot API的更新日志以及截至11月15日确认的官方小部件文档均指出,该功能可在运行环境下的私聊中进行传输。这与开发者的实际报错及仓库贡献者的回答存在出入。

技术背景与安全机制

HTML小部件是一种允许在聊天消息内部执行由HTML、CSS和JavaScript构建的交互式元素的功能,用户无需离开对话界面即可与小部件互动。Telegram官方解释称,小部件内的JavaScript代码是在一个网络访问被隔离的QuickJS环境中运行的,这是其官方文档所描述的安全执行方式。

此外,Telegram的公开QuickJS代码库中已提交了相关代码修改,旨在防止函数返回后内存仍被引用的问题。这一修改主要涉及解决函数返回后残留内存引用潜在风险的技术细节。

卡巴斯基关于恶意软件活动的观察

网络安全公司卡巴斯基(Kaspersky)近期表示,他们观察到一些Telegram频道中存在恶意活动:用户在不知情的情况下,PowerShell脚本被执行,导致下载并运行WebRAT(Salat Stealer)恶意软件。卡巴斯基指出,该恶意软件会在受感染的计算机上执行。

卡巴斯基进一步披露,WebRAT具备远程控制受感染计算机的能力,并可能窃取加密货币钱包及Telegram账户数据。不过,截至目前,尚未证实在此次活动中确实发生了钱包信息泄露或账户被盗事件。

关于攻击条件与用户安全的澄清

针对上述安全担忧,Telegram创始人帕维尔·杜罗夫(Pavel Durov)在其官方频道明确表示:“仅接收消息不会导致黑客入侵。”他强调,只有当用户主动启动第三方服务时,攻击才可能发生,且Telegram已在服务器端阻断了此类路径。

值得注意的是,卡巴斯基观察到的是用户在访问频道时无意识触发的脚本行为,而杜罗夫强调的是需要用户主动启动第三方服务。两者对于攻击触发条件的描述存在差异。

区分正常功能与安全风险

Telegram的小部件文档说明,若用户请求,机器人可以获取TON钱包卡的地址和余额。此前曾有报道提及Telegram消息小部件增加了TON支付功能。通过小部件进行的交易请求需经过应用内钱包窗口显示目的地和金额,并由用户确认的步骤。因此,必须将这种正规的小部件卡片信息传递机制与恶意软件试图从受感染设备窃取的钱包信息严格区分开来。

此前,媒体曾报道过Telegram安卓端演示中,在机器人聊天后计算器应用被执行的情况,该报道涉及安卓系统漏洞及应用更新话题。而本次开发者报告主要针对的是普通机器人发送小部件时的功能错误,两者性质不同,不应混淆。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻
自选
我的自选
查看全部
市值 价格 24h%